内部統制とITガバナンス

要点と定義

内部統制は、組織が健全かつ効率的に運営されるよう、自ら体制を整え、運用する仕組みです。業務プロセスを明確にし、役割分担やルール、確認の仕組みを設けます。内部統制には限界があり、仕組みを整えれば誤りや不正を完全に防げるわけではありません。経営者の指示を実行するための方針や手続は「統制活動」に当たります。組織の構造や慣行のように、統制に対する意識を形づくるものは「統制環境」です。設問で説明される内容を、要素の定義と照らして分類することが必要です。

ITガバナンスは、組織の価値と信頼を高めるため、ITの利活用の方針を定め、その実現を進める活動です。過去の出題で扱った補足として、平成30年版システム管理基準は、ITガバナンスの原則に責任、戦略、取得、パフォーマンス、適合、人間行動を挙げています。これは当時の基準に基づく出題内容であり、現行のシラバス細目にその六項目が明記されているとは断定できません。問われたのがガバナンスの原則か、管理機能や品質管理の原則かを見分ける知識が正答判断に必要です。

ITに係る全般統制は、個別の取引や入力の正しさではなく、システムの開発・変更・運用などを組織的に管理し、IT環境全体を支える統制です。プログラム開発時のレビューや、変更要件の定義・承認が例です。一方、個別業務で使うデータの入力確認や業務処理に関わる統制は、ITに係る業務処理統制などに当たります。何を対象に、どの段階で働く統制かを特定することが分類の鍵です。

全般統制の運用・管理では、重要なデータやソフトウェアを保存し、障害時に復旧できるようにする対策が監査上の確認事項になります。開発・変更時の対策やアクセス管理とは、同じ全般統制に関係していても目的と分類が異なります。選択肢を「全般統制かどうか」だけでなく、設問が指定する管理領域に照らすことが必要です。これは過去の出題で扱った補足です。

自動化されたITに係る業務処理統制（ITAC）の運用評価を効率化する前提には、それを支えるIT全般統制が有効であることがあります。全般統制が有効なら、ITACの設定や実行の一貫性を支える根拠となるためです。当年度に改修したITACについては、前年度の運用評価が有効だったというだけで当年度の評価を省けるとは限りません。改修の有無と、今年度に関係する全般統制の有効性を分けて判断します。これは過去の出題で扱った補足です。

適用条件と例

例えば、社内の申請システムに新しい承認ルールを加えるとします。変更前に要件を定義して承認し、開発時にレビューし、変更後に必要なデータを保存・復旧できる状態を確認するのは、変更や運用を支える全般統制の例です。申請者の入力内容が業務上妥当かを画面で確かめる仕組みは、個別処理に対する統制の例です。どちらも内部統制に役立ちますが、対象範囲が異なります。